LOOM über einen Reverse Proxy ins Internet

Schritt 0 · Voraussetzungen prüfen

curl -s https://api.ipify.org; echo

dig +short loom.eure-schule.at

Schritt 1 · Portfreigabe im Router

Im Router unter „Portweiterleitung" / „Port Forwarding" / „NAT" zwei Regeln anlegen, beide auf die interne IP eures Servers:

Die interne IP des Servers findet ihr mit hostname -I (die erste Adresse in der Ausgabe). Gebt dem Server im Router am besten eine feste interne IP (DHCP-Reservierung) — sonst zeigt die Portfreigabe nach dem nächsten Neustart ins Leere.

Schritt 2 · LOOM zuerst im lokalen Modus starten

cd /pfad/zu/LOOM
./LOOM-<version>-x86_64.AppImage

LOOM läuft danach unter http://localhost:5311 — nur auf dem Server selbst. Das ist Absicht und euer wichtigster Schutz.

Schritt 3 · Zugangsschlüssel erzeugen

Merkt euch, wer als Maintainer eingetragen ist: nur diese Person kann später im hosted-Modus weitere Schlüssel verwalten.

ssh -L 5311:localhost:5311 benutzer@server-ip

Schritt 4 · LOOM auf hosted umstellen

Die Konfigurationsdatei liegt unter Linux hier — falls Ordner oder Datei fehlen, legt sie an:

mkdir -p ~/.config/LOOM
nano ~/.config/LOOM/app-settings.yaml

port: 5311
mode: hosted

Speichern (in nano: Strg+O, Enter, Strg+X), LOOM beenden (Strg+C) und neu starten. Ab jetzt fragt LOOM beim Öffnen nach dem Zugangsschlüssel.

Schritt 5 · Caddy installieren

Caddy ist in den Paketquellen von Debian, Ubuntu und Raspberry Pi OS nicht enthalten. Die offizielle Quelle einbinden:

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy

Prüfen mit systemctl status caddy. Caddy richtet sich bei der Installation selbst als Dienst ein und startet ab jetzt bei jedem Boot mit.

Schritt 6 · Passwort-Hash erzeugen

caddy hash-password

Caddy fragt nach einem Passwort und gibt einen langen Hash aus (beginnt meist mit $2a$). Diesen Hash kopiert ihr gleich in die Caddyfile — das Passwort selbst steht dort nie.

Dieses Passwort kommt zusätzlich zu den persönlichen LOOM-Zugangsschlüsseln: es schützt die Proxy-Ebene, bevor überhaupt jemand bei LOOM anklopft. Am einfachsten ein gemeinsames Team-Passwort, sicher geteilt.

Schritt 7 · Caddyfile konfigurieren

sudo nano /etc/caddy/Caddyfile — den vorhandenen Inhalt (meist nur Kommentare) löschen und ersetzen:

loom.eure-schule.at {
    basic_auth {
        team <hier der Hash aus Schritt 6>
    }
    reverse_proxy localhost:5311 {
        flush_interval -1
    }
}

Erst prüfen, dann aktivieren:

sudo caddy validate --config /etc/caddy/Caddyfile
sudo systemctl reload caddy

Caddy holt jetzt automatisch das Zertifikat — meist in Sekunden. Klemmt etwas: sudo journalctl -u caddy -f (mit Strg+C beenden).

Schritt 8 · LOOM dauerhaft laufen lassen

Bisher läuft LOOM nur, solange das Terminal offen ist. Als Dienst kommt es nach jedem Neustart von selbst wieder hoch.

[Unit]
Description=LOOM Team Server
After=network.target

[Service]
Type=simple
User=euer-benutzername
WorkingDirectory=/pfad/zu/LOOM
ExecStart=/pfad/zu/LOOM/LOOM-<version>-x86_64.AppImage
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

Dann aktivieren und starten:

sudo systemctl daemon-reload
sudo systemctl enable loom
sudo systemctl start loom
systemctl status loom

Schritt 9 · Testen

Von einem anderen Gerät — nicht vom Server selbst, sonst testet ihr den Weg von außen gar nicht:

Zertifikatsfehler? Kurz warten und neu laden (DNS). Gar keine Verbindung? Portfreigabe (Schritt 1) und DNS-Eintrag (Schritt 0.2) noch einmal prüfen.

Stoppen, starten, nachsehen

Ein Team-Server wird auf seiner Maschine gestoppt, nicht im Browser. Im lokalen Modus hat LOOM oben rechts einen Aus-Knopf — auf einem Team-Server ist der bewusst nicht da: ein Klick würde LOOM für das ganze Team beenden.

Bekannte Stolpersteine

Zum Abhaken

• Öffentliche IP bestätigt
• Domain oder DynDNS eingerichtet und mit dig +short geprüft
• Port 80 und 443 freigegeben, Server hat feste interne IP
• LOOM im lokalen Modus gestartet, alle Zugangsschlüssel erzeugt und verteilt
• app-settings.yaml auf mode: hosted
• Caddy installiert, Passwort-Hash erzeugt
• Caddyfile geschrieben, mit caddy validate geprüft, Zertifikat da
• Dienst eingerichtet — und User= ist derselbe wie in Schritt 4
• Von einem fremden Gerät erfolgreich getestet